Anthropic 的 Claude Code 被曝在暗中嵌入隐藏标记，用于标记与 147 个中国域名及 AI 实验室有关联的用户，本周有开发者披露了这一情况。
要点概览
- 开发者发现，Claude Code 将代理和时区信息编码进系统提示中的不可见 Unicode 标记
- 该机制会先对配置与 147 个中国域名及 11 个 AI 实验室相关关键词进行比对，再修改提示中的日期行
- 在开发者和研究人员发出警告后，Anthropic 表示将在下一版 Claude Code 中移除相关代码
隐藏的提示标记
一名开发者在对 Claude Code 2.1.196 版本进行逆向工程、尝试恢复被禁用的远程控制功能时，发现 自 4 月起就静默存在的混淆代码。
相关发现于 6 月 30 日首先在 Reddit 上以匿名用户名曝光，随后在 GitHub 上发布的技术长文中得到确认。
分析人士检查了 Claude Code 的三个不同版本，发现这一机制在各版本中工作方式完全一致，而数月更新的发行说明中完全未提及。它只会在用户将 Claude Code 指向自定义服务器地址、而非 Anthropic 自有地址时激活。一旦被触发，该工具会读取系统时区，并检查其是否匹配与中国大陆相关的两个城市。
随后，代理地址会与一个包含 147 条记录的隐藏域名列表进行比对；该列表经过混淆处理，避免通过纯文本搜索被发现，其中包括百度、阿里巴巴、蚂蚁集团和字节跳动，以及 11 个与中国 AI 实验室有关的关键词。检测结果被嵌入看似普通的句子“Today’s date is...（今天的日期是……）”中：当检测到中国时区时，日期格式从连字符改成斜杠，而标准撇号则被替换为三个几乎难以区分的相似字符之一。
延伸阅读： BitMine 在抛售中逆势下注 4300 万美元以太坊，其策略动摇
开发者信任危机
这一机制曝光后，开发者反应强烈，认为一个可以访问源代码和 Shell 命令的工具，应当比普通聊天窗口承担更高的信息披露义务。有人在项目代码仓库中提交缺陷报告，将此做法称为“隐蔽指纹识别”，并质疑是否还存在其他对用户隐藏的信号。评论者指出，只需修改主机名或系统时间就可以绕过这一检测。
这意味着，该机制主要标记的是使用合法企业代理的普通开发者，而非其原本意在捕获的高对抗性运营者。Anthropic 此前曾指控包括 DeepSeek、Moonshot AI 和 MiniMax 在内的中国实验室，今年早些时候通过逾 2.4 万个欺诈账号和超过 1600 万次交互，复制 Claude 的推理和编程行为。
一名 Anthropic 工程师在社交媒体上承认了这段代码的存在，并表示将在次日发布的版本中移除，不过公司尚未发表正式书面声明。此事件也令今年围绕 Claude Code 的一系列安全质疑再添一例。
微软 的研究人员在 6 月披露了其 GitHub 集成中的提示注入漏洞；Check Point 则在 2 月指出三处不同安全漏洞；Anthropic 自身的源代码也在 4 月短暂泄露。
下篇阅读： CZ 称币安几乎在政治风波前拿到 MiCA 批准